Requisitos legales de una web en España: guía 2026

Nadie monta un negocio porque le entusiasmen los banners de cookies. Pero si tu negocio tiene web en España, aunque solo sea informativa, la ley le pide unas cuantas cosas. La buena noticia: la lista es corta, casi todo es trabajo de una sola vez y nada es complicado cuando te lo explican sin lenguaje de abogado.

Esta guía está actualizada a octubre de 2026, con los cambios de 2025 y 2026 que casi nadie te ha contado y con cómo comprobar cada punto tú mismo. Si prefieres ir al grano, comprueba gratis si tu web cumple lo básico con nuestra auditoría: revisa desde fuera el aviso legal, la privacidad, las cookies y lo que se carga antes de que el visitante acepte, en segundos y sin registrarte.

Esto es información general, no asesoramiento legal. Lo hemos revisado el 17 de octubre de 2026 en el BOE, el BOJA, la AEPD y EUR-Lex, y enlazamos cada norma para que puedas leerla tú. Si tratas datos de salud o vendes online en volumen, que te lo revise un profesional.

Qué necesita tu web por ley en España, en resumen

• Siempre: un aviso legal con tus datos.
• Si recoges cualquier dato (un formulario, un email, estadísticas de visitas): una política de privacidad y una línea informativa junto al formulario.
• Si usas cookies que no son técnicas (Google Analytics, píxeles de publicidad, vídeos de YouTube): un banner con «Rechazar» en la primera capa, una política de cookies y nada cargado antes de que la persona elija.
• Si vendes a particulares: precios finales con impuestos y, si es online, condiciones de venta y derecho de desistimiento.
• Si enseñas opiniones de clientes: decir si compruebas que son reales.
• Si en tu web contesta un chatbot con IA: que avise de que es una IA.
• Si tu negocio está en Andalucía: hojas de reclamaciones también electrónicas y, si no tienes local abierto al público, avisar de ellas en tu web.

Lo que ha cambiado en 2025 y 2026

• 20 de julio de 2025: cerró la plataforma europea de resolución de litigios en línea (ODR), y el enlace que todavía aparece en muchos avisos legales ya no lleva a ninguna parte.
• 28 de diciembre de 2025: la Ley 10/2025 retoca la ley de consumidores en precios, opiniones y teléfono de atención.
• 20 de mayo de 2026: en Andalucía, las hojas de reclamaciones electrónicas (Hoj@) pasan a ser obligatorias para todas las empresas.
• 2 de agosto de 2026: los chatbots con IA tienen que avisar de que lo son.
• Sin cambios: la guía de cookies de la AEPD sigue siendo la de mayo de 2024, y las multas siguen llegando.

1. Aviso legal: obligatorio aunque tu web sea solo informativa

La LSSI, la ley de servicios de la sociedad de la información (también la verás como LSSI-CE o LSSICE), pide en su artículo 10 que cualquier web con actividad económica diga quién está detrás. Y sí, también la tuya aunque no vendas nada por internet: en sus preguntas frecuentes sobre la LSSI, el Ministerio aclara que la web de una empresa que solo informa de su actividad también tiene que darlos. Y tienen que estar accesibles de forma permanente y fácil, que en la práctica es un enlace en el pie de todas las páginas:

• Tu nombre o razón social y tu NIF.
• Tu dirección, con el código postal.
• Un email de contacto que funcione, mejor si es un email profesional con tu dominio.
• Si eres una sociedad, los datos del Registro Mercantil (tomo, folio y hoja).
• Si ejerces una profesión colegiada, los datos de tu colegio profesional, algo que siempre llevan las páginas web para abogados y las páginas web para psicólogos.

Es el requisito que más se salta quien trabaja como autónomo, casi siempre por no querer poner su dirección en internet. Sigue siendo obligatorio mientras ejerzas la actividad.

Cómo comprobarlo: abre tu web en el móvil y pulsa «Aviso legal» en el pie. Los datos tienen que estar escritos como texto, no dentro de una imagen. Y si ves un enlace a la plataforma europea de litigios (ec.europa.eu/consumers/odr), quítalo: la plataforma cerró el 20 de julio de 2025 por el Reglamento (UE) 2024/3228. Si no lo tienes, mejor: ya no hace falta.

2. Política de privacidad y una línea junto al formulario

En cuanto tu web recoge un nombre, un email, un teléfono o una IP para estadísticas, se aplican el RGPD y la ley española de protección de datos (LOPDGDD). Según el artículo 13 del RGPD, tu política de privacidad tiene que explicar, en lenguaje claro:

• Quién es el responsable de los datos, con el nombre real de tu negocio, y cómo contactarte.
• Para qué usas los datos y con qué base legal: atender una petición de presupuesto, el consentimiento para una newsletter...
• Quién más los ve. Sé honesto: tu hosting, tu herramienta de correo, Google Analytics, tu CRM.
• Cuánto tiempo los guardas.
• Los derechos de la persona (acceso, rectificación, supresión, oposición...) y su derecho a reclamar ante la AEPD.

El fallo habitual no es no tener política, sino tener una plantilla copiada que describe otro negocio o que no dice quién es el responsable. Y no es un detalle menor: la AEPD multó con 1.000 euros a una empresa cuyo formulario de contacto llevaba a una política que, como responsable, solo nombraba el dominio de la web (PS/00212/2024).

Junto al formulario va una primera capa: una línea con quién es el responsable, para qué usas los datos y dónde leer el resto, con enlace a la política. La AEPD tiene una guía con modelos para informar que te sirve de base. Un formulario de contacto no necesita casilla de «acepto»: basta con informar. La casilla solo hace falta para lo que depende del consentimiento, como una newsletter, y nunca puede venir marcada de antemano. Y el mismo cuidado vale fuera de la web: mira el riesgo de usar tu WhatsApp personal con clientes.

Cómo comprobarlo: lee tu política como si fueras un cliente. ¿Dice el nombre de tu negocio, o solo «el titular de esta web»? ¿Menciona las herramientas que usas de verdad? Después mira si tu formulario lleva esa línea con enlace y si alguna casilla viene ya marcada.

3. Cookies: «Rechazar» en la primera capa y nada antes de elegir

Aquí es donde más webs fallan. La guía de cookies de la AEPD, actualizada en mayo de 2024 y vigente hoy, se resume en cinco ideas:

• «Rechazar» en la primera capa, en el mismo banner que «Aceptar», al mismo nivel e igual de visible. No vale esconderlo en «Configurar» ni ponerlo en gris claro sobre blanco.
• Sin casillas premarcadas: en el panel de configuración, las cookies que no son técnicas empiezan desactivadas.
• Nada antes de elegir. La analítica, los píxeles de publicidad, los vídeos de YouTube incrustados y las grabaciones de sesión como Microsoft Clarity necesitan consentimiento antes de cargarse. Es el fallo que no se ve: el banner parece correcto, pero Google Analytics ya se había cargado.
• Seguir navegando no es aceptar. La guía lo recoge expresamente.
• Cambiar de opinión tiene que ser igual de fácil que aceptar, así que deja un enlace para volver a la configuración, y una política de cookies que explique cuáles usas y para qué.

Las multas existen, y con cifras que se notan en un negocio pequeño. Tres casos reales de la AEPD:

• Un restaurante cuyo banner no dejaba rechazar y que usaba cookies no técnicas antes de que nadie eligiera: 2.000 euros, que se quedaron en 1.600 por pagar de forma voluntaria (PS/00405/2023).
• Una web en la que, tras pulsar «Rechazar», seguían funcionando las cookies de YouTube y las que se habían puesto al entrar: 5.000 euros de sanción inicial y 3.000 pagados tras las reducciones (PS/00006/2026).
• La política de privacidad sin responsable del punto anterior: 1.000 euros (PS/00212/2024).

Los tres empezaron por la reclamación de una persona, no por una inspección al azar. Nadie va a cerrar una panadería de barrio a base de multas, pero duelen por algo que se arregla en una tarde.

Cómo comprobarlo: abre tu web en una ventana de incógnito y mira si «Rechazar» se ve igual que «Aceptar». Lo que se carga antes de elegir es más difícil, porque no se ve a simple vista: para analizar las cookies de tu web sin herramientas técnicas, nuestra auditoría gratuita la abre como un visitante nuevo y te lo dice. Con los vídeos ayuda usar el modo sin cookies de YouTube (youtube-nocookie.com) o cargarlos solo cuando la persona pulsa sobre ellos.

4. Si vendes a particulares: precios con IVA, opiniones y teléfono

La Ley 10/2025 regula sobre todo la atención al cliente de las grandes empresas y de los suministros básicos, como la luz o el teléfono. Pero de paso reformó la ley general de consumidores (el TRLGDCU) en tres puntos que se ven en la web de cualquier negocio que trate con particulares:

• Precio final, con impuestos. El precio que enseñas a un particular tiene que ser el final y completo, impuestos incluidos, con los gastos adicionales, como los de gestión, a la vista (art. 20.1.c). «Desde 80 euros + IVA» vale si solo trabajas para empresas; a un particular enséñale el precio final y, si quieres, el desglose debajo.
• Opiniones de clientes. Si enseñas reseñas o testimonios, di si garantizas o no que son de personas que compraron o usaron de verdad tu servicio, y cómo las gestionas (art. 20.4). Basta una línea, del tipo «Opiniones de nuestra ficha de Google, tal y como se publicaron, sin seleccionarlas ni verificarlas». Y si quieres tener más, aquí va cómo conseguir más reseñas en Google sin trucos.
• Teléfono de atención. Si das un número para que tus clientes te llamen por lo que te han contratado, esa llamada no puede costarles más que una normal a un fijo o a un móvil (art. 21.2). Si el tuyo es un 901, un 902 o uno de tarificación adicional (803, 806, 807), añade uno normal.

Si vendes online, súmale las condiciones de venta, los envíos y devoluciones y los 14 días de desistimiento que la ley da a quien compra a distancia. Si estás pensando en montar una tienda online, cuenta con ello desde el principio.

Cómo comprobarlo: busca en tu web «+IVA», «IVA no incluido» o «sin IVA» y, si atiendes a particulares, cambia esos precios por el final. Después mira si junto a tus opiniones dices de dónde salen.

5. Chatbots con IA: tienen que decir que son una IA

Desde el 2 de agosto de 2026 se aplica el artículo 50 del Reglamento europeo de IA: quien habla con un chatbot de IA tiene que saber que habla con una máquina, salvo que sea evidente. En rigor, diseñarlo así es obligación de quien fabrica la herramienta, pero el aviso tiene que llegar a tu visitante, así que comprueba que está. Basta con que el primer mensaje diga algo como «Soy un asistente virtual». Los chatbots con IA que instalamos ya se presentan así, y si además publicas imágenes o vídeos hechos con IA, lo que te toca está en cómo etiquetar el contenido hecho con IA.

Cómo comprobarlo: abre tu chat como si fueras un cliente. Si te contesta una IA y en ningún momento lo dice, cambia el mensaje de bienvenida; Tidio, Crisp, Intercom y compañía lo permiten desde su panel.

6. Andalucía: hojas de reclamaciones, también online

Si tu negocio está en Andalucía, te afecta el Decreto 82/2022 de hojas de quejas y reclamaciones y, desde el 20 de mayo de 2026, la Orden de 24 de abril de 2026 que regula Hoj@ y obliga a todas las empresas a tener las hojas también en formato electrónico. Lo que toca a tu web:

• Si no tienes local abierto al público, como el fontanero o el electricista que trabaja en casa del cliente, tienes que avisar de que existen hojas de quejas y reclamaciones, en papel y electrónicas, en tu web y también en presupuestos, contratos y facturas (art. 7.3 del decreto).
• Si contratas por internet, la web o la aplicación con la que se contrata tiene que indicar, bien a la vista, dónde se puede presentar una reclamación (art. 5.3).
• Alta en Hoj@: las empresas grandes (más de 250 trabajadores, más de 50 millones de facturación o más de 20 locales en Andalucía) y las de suministros básicos tienen seis meses desde el 20 de mayo de 2026; el resto, autónomos incluidos, un año, hasta mayo de 2027.

Cómo comprobarlo: busca en el pie de tu web una frase sobre las hojas de reclamaciones. Si no tienes local y no está, basta una línea como «Existen hojas de quejas y reclamaciones a disposición de las personas consumidoras, también en formato electrónico (consumoresponde.es)», y la misma frase en tus presupuestos y facturas. Toda la información para empresas está en Consumo Responde, el portal de consumo de la Junta.

7. Accesibilidad: lo que obliga hoy y lo que llega en 2029

Aquí circula mucho miedo, así que vamos a lo que dicen las normas. Hoy ninguna ley obliga a que la web informativa de una microempresa que no vende online sea accesible: la Ley 11/2023, la que traspone la directiva europea de accesibilidad, exime a las microempresas que prestan servicios (art. 3.3). El Real Decreto 193/2023 sí lo exigirá a las webs que ofrecen bienes y servicios al público desde 2029–2030. Y si tu web se pagó con el Kit Digital, ya debía cumplir el nivel AA de las pautas WCAG 2.1.

Aun así, merece la pena adelantarse: una web que se lee bien en el móvil y con buen contraste la usan mejor tus clientes mayores, y Google lo agradece. Lo contamos con más detalle en la ley de accesibilidad web.

Cómo comprobarlo: sube el tamaño de letra del móvil y abre tu web. Se tiene que seguir leyendo sin que se corte el texto, el gris claro no debe perderse sobre el fondo y los botones se tienen que poder pulsar con el dedo a la primera.

Cómo comprobar si tu web cumple, en diez minutos

1. En el móvil, en una ventana de incógnito, baja hasta el pie: ¿hay enlaces a aviso legal, política de privacidad y política de cookies?
2. ¿El aviso legal tiene tu nombre o razón social, el NIF, la dirección y un email, sin enlaces a la plataforma ODR?
3. ¿El banner de cookies tiene «Rechazar» igual de visible que «Aceptar»?
4. ¿Tu política de privacidad dice quién eres y qué herramientas usas, y tu formulario lleva la línea informativa sin casillas marcadas de antemano?
5. Si vendes a particulares, ¿tus precios son finales, con IVA? ¿Dices de dónde salen tus opiniones? ¿Tu chatbot avisa de que es una IA?
6. En Andalucía y sin local: ¿mencionas las hojas de reclamaciones?

Lo que no se ve a simple vista, como qué se carga antes de que el visitante acepte las cookies, lo mira por ti la auditoría web gratis: escribes la dirección y en unos segundos tienes un semáforo con lo que falta y cómo arreglarlo, sin registrarte. Es una revisión automática y orientativa, no un dictamen legal, pero te dice por dónde empezar.

Si encuentras fallos, estás en la mayoría, y casi todo es una tarde de trabajo. Si tu web la hizo otra persona, buena parte de estos arreglos entra en nuestro mantenimiento web desde 59 € al mes, sin permanencia; lo demás, con presupuesto cerrado. Y si vas a hacerla nueva, en nuestras páginas web para pymes lo legal viene resuelto de serie, con el consentimiento de cookies bien montado y no puesto con pinzas.

Preguntas frecuentes

¿Es obligatorio el aviso legal si mi web es solo informativa?

Sí. La LSSI se aplica a cualquier web con actividad económica, y el Ministerio aclara en sus preguntas frecuentes que la web de una empresa que solo informa de sus servicios también tiene que dar los datos del artículo 10: nombre o razón social, NIF, dirección y un email de contacto.

¿Es obligatorio el banner de cookies?

Solo si usas cookies que no son técnicas, como Google Analytics, píxeles de publicidad o vídeos de YouTube incrustados. En ese caso necesitas un banner con «Rechazar» en la primera capa y no cargar nada de eso antes de que la persona elija. Una web que solo usa cookies técnicas no necesita banner, aunque es buena práctica explicarlas en la política de cookies.

¿Puedo poner los precios sin IVA?

Si solo trabajas para empresas, sí, es lo normal. Si vendes a particulares, el precio que muestras tiene que ser el final, con impuestos incluidos (art. 20.1.c del TRLGDCU). Puedes añadir el desglose debajo.

¿Puedo usar una plantilla para los textos legales?

Una plantilla o un generador es un buen punto de partida, pero hay que adaptarlo a tu negocio, tus datos y tus herramientas. Una plantilla sin tocar que describe una tienda cuando tú eres fontanero, o que no dice quién es el responsable, es peor que nada: deja por escrito algo que no es cierto.

¿De verdad me pueden multar siendo autónomo?

Las normas se aplican sin importar el tamaño, y la AEPD sanciona a negocios pequeños: un restaurante acabó pagando 1.600 euros por un banner que no dejaba rechazar las cookies. Como referencia, la LSSI considera leve no dar los datos del aviso legal, con multas de hasta 30.000 euros, y grave que falten de forma significativa tu nombre, tu dirección o tu email. Los tres casos de la AEPD que hemos visto empezaron por la reclamación de una persona, que es justo por lo que merece la pena tenerlo en orden.

¿La auditoría gratuita me dice si mi web es legal?

No del todo, y preferimos decírtelo claro. Es una revisión automática y orientativa de lo que se puede comprobar desde fuera: si encuentra el aviso legal y la política de privacidad, qué se carga antes de aceptar las cookies, enlaces obsoletos o precios con «+IVA». Te dice qué revisar, no si tu web está en regla; eso solo puede decírtelo un abogado.

Esto no va de meter miedo, va de no tener un problema evitable dentro de tu web. Si prefieres que la mire una persona, escríbenos y te decimos qué arreglaríamos primero.